La futura legge cyber di Monaco

Qualcosa sta arrivando, ma non è ancora legge

Monaco ha dichiarato l'intenzione di dotarsi di un quadro nazionale sulla cybersicurezza modellato da vicino sulla direttiva europea NIS2. L'annuncio è stato reso pubblico alle Assises de la Cybersécurité ed è stato ribadito da chi segue il dossier. La preparazione è affidata alla Direction des Plateformes et des Ressources Numériques, mentre la vigilanza spetterebbe all'Agence Monégasque de Sécurité Numérique (AMSN).

Ecco lo stato reale delle cose, e conta più di qualsiasi calendario: ad oggi non esiste una legge monegasca sulla cybersicurezza. Esistono una direzione dichiarata, un lavoro preparatorio interno al Governo e commenti di società di consulenza che collocano l'entrata in vigore intorno al 2027. Sono proiezioni di consulenti, non del Journal de Monaco. Consideri ogni data precisa che legge — comprese quelle di questo articolo — come indicativa, e faccia confermare la situazione dall'AMSN o da un avvocato monegasco prima di impegnare budget su quella base.

Questa cautela non è un invito a ignorare il tema. È un invito a fare subito la preparazione che non costa nulla, evitando la corsa affannosa più avanti.

Perché uno Stato extra-UE ricalca una direttiva europea

Monaco non è uno Stato membro dell'Unione europea e le direttive europee non vi si applicano automaticamente. NIS2 non ha efficacia giuridica diretta nel Principato. Perché allora allinearsi?

Perché l'economia monegasca è intrecciata con quella europea. Banche private, family office, maison del lusso e fornitori IT monegaschi fanno parte di catene di fornitura europee. NIS2 impone alle imprese regolate di valutare la sicurezza dei propri fornitori: una banca francese o un industriale italiano porrà quindi sempre più domande di sicurezza alla controparte monegasca, con clausole contrattuali a sostegno. Parlare lo stesso vocabolario rende quelle conversazioni sostenibili.

C'è poi un argomento di sovranità. Da anni Monaco costruisce infrastrutture digitali e schemi di qualificazione propri, invece di importarli. Una legge nazionale vigilata dall'AMSN prosegue nella stessa logica.

Chi sarebbe realisticamente coinvolto

Le analisi disponibili indicano un perimetro nell'ordine di 300-400 soggetti. Monaco è piccola e questa legge non punta a ogni impresa del Principato. È prevedibile la consueta distinzione NIS2 tra soggetti essenziali e importanti, con gli obblighi più pesanti sui primi.

Il profilo probabile: banche e istituti finanziari, sanità, energia e acqua, trasporti, infrastrutture digitali e fornitori di servizi IT gestiti, enti pubblici e operatori di dimensione rilevante nei settori identitari di Monaco. Una società di consulenza di due persone o un ristorante indipendente resta quasi certamente fuori dall'ambito diretto.

Ma l'ambito diretto è solo metà del quadro, e per la maggior parte dei lettori la metà più piccola. Gli obblighi sulla catena di fornitura scendono a valle. Se siete l'agenzia, il fornitore software o l'hoster di un soggetto coinvolto, vi verrà chiesto di dimostrare il vostro livello di sicurezza — non da un regolatore, ma dall'ufficio acquisti del cliente. E questo segue i tempi del cliente, non quelli del legislatore. Sta già accadendo.

Gli obblighi da anticipare

Se Monaco seguirà lo schema NIS2 — e tutti i segnali vanno in quella direzione — quattro elementi stanno al centro.

Governance con un responsabile individuato. NIS2 ha reso gli organi di gestione responsabili delle misure di gestione del rischio cyber. Non è più materia delegabile per intero all'IT: qualcuno ai vertici deve saper illustrare il quadro dei rischi.

Misure di gestione del rischio. Politiche, gestione degli incidenti, continuità operativa, controllo degli accessi, autenticazione a più fattori, cifratura. Monaco le ricondurrebbe verosimilmente al referenziale nazionale di cybersicurezza dell'AMSN, senza inventare uno standard parallelo.

Notifica degli incidenti con tempi stretti. NIS2 prevede un preallarme entro 24 ore, una notifica entro 72 ore e una relazione finale entro un mese. È sulle 24 ore che bisogna prepararsi: troppo poco per decidere sul momento chi valuta, chi scrive e chi detiene le credenziali.

Sicurezza della catena di fornitura. I soggetti coinvolti devono considerare la sicurezza di fornitori e prestatori di servizi — il meccanismo che estende i requisiti a imprese che la legge non nomina mai.

La sovrapposizione con la legge n. 1.565 è la vostra scorciatoia

Le imprese monegasche convivono già con l'obbligo di notifica delle violazioni di dati entro 72 ore previsto dalla legge n. 1.565 del 3 dicembre 2024, sotto il controllo dell'APDP. Autorità diversa, presupposto diverso, relazione diversa: una violazione di dati personali non è un incidente di cybersicurezza, e uno stesso evento può richiedere entrambe le segnalazioni.

La sovrapposizione sta nei meccanismi interni — ed è lì che si concentra il lavoro. Chi rileva. Chi qualifica. Chi scrive. Chi firma. Dove sono i contatti e i log alle due di notte di domenica. Costruitelo una volta e usatelo per entrambi. Chi ha già svolto il lavoro di base sulla protezione dei dati APDP è più avanti di quanto creda.

Cosa vale la pena fare nei prossimi dodici mesi

Nulla di tutto questo dipende dal testo definitivo, e tutto si ripaga comunque:

• Mettete per iscritto se siete plausibilmente coinvolti — direttamente o tramite un cliente che lo è. Due paragrafi, datati, da rivedere quando comparirà la bozza.
• Sistemate le basi che ogni quadro normativo richiede. MFA ovunque, aggiornamenti realmente applicati, backup da cui avete ripristinato almeno una volta, e uscite del personale con revoca degli accessi in giornata. Poco spettacolare, ed è esattamente ciò che gli audit trovano mancante.
• Conoscete la vostra catena di fornitura. CMS, plugin, hosting, provider di pagamento, analytics, piattaforma email. Un inventario di dipendenze e fornitori è il presupposto di ogni altro controllo e rientra in un contratto continuativo di manutenzione e assistenza del sito, non in un audit una tantum.
• Provate una volta la risposta a 24 ore. Un'esercitazione a tavolino di un'ora rivela più lacune di una policy di cento pagine.
• Chiarite la vostra storia infrastrutturale. Dove risiedono i dati, sotto quale giurisdizione, con quali certificazioni — domande che orientano sempre più le scelte di sviluppo web a Monaco, ben prima che le ponga un regolatore.

Chi affronta il tema come un progetto di maturità della sicurezza, e non come un progetto di conformità, sarà pronto quando la legge arriverà e nel frattempo vincerà gare d'appalto. Chi aspetta il Journal de Monaco avrà pochi mesi per recuperare anni di lavoro.

Per una valutazione lucida di come sito, hosting e flussi di dati si collocherebbero in un quadro simile, contattateci — è una conversazione breve e utile.